Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

攻撃者がメール転送設定を変更、受信した個人情報が外部に - 立命館大

立命館大学が主催する国際研修の応募者に関する個人情報が外部に流出した。フィッシングメールによりアカウント情報が奪われ、受信メールが外部に転送されるよう設定が変更されたという。

歴史都市防災研究所が主催する2018年ユネスコチェア国際研修「文化遺産と危機管理」に、海外から応募した264人分の個人情報が外部へ流出したもの。氏名や所属組織の住所、電話番号、生年月日、性別、現職、学歴、職務経験、国籍などが含まれる。

同大によれば、研修への申し込みを受け付けるために用意したメールアカウントにおいて、4月24日に「未読メールが13通残っている」などと記載されたマイクロソフトの通知を装うフィッシングメールを受信。

同研究所の職員が誤ってメールに記載されたURLへアクセスし、誘導先の「Office365」を装ったページよりアカウント情報を入力してしまったという。

攻撃者は奪ったアカウント情報でログインし、同メールアカウントで受信したメールを外部に転送するよう設定を変更。期間中に、応募者の個人情報リストが添付されたメールや、応募者の参加申請書や履歴書などのメールを同アカウントで受信したことから外部へ不正に転送された。

さらに転送されたメールの一部には、参加申請書や履歴書を保管していたクラウドサービスにおける共有フォルダのURLを記載。パスワードなしに共有フォルダへアクセスできる状態だったため、応募者264人のうち、共有フォルダに保存されていた261人分の参加申請書や履歴書についても取得された可能性がある。

今回の問題を受け、同大では関係者に対して、メールで事情を説明し、謝罪を行った。

また問題のアカウントは、今回の研修用に用意したものであり、不正にログインされたものの、転送されたメール以外の情報漏洩はないと同大では説明。ログから不正なログインは1回のみであることも判明しており、スパムメールを送信するための踏み台などに悪用された形跡もなかったとしている。

(Security NEXT - 2018/05/18 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

約9年前に会員アカウント情報が流出か - 東芝産業機器システム
アカウント情報3.7万件が海外サイト上に流出 - キルフェボン
個人情報含むPCを従業員が紛失 - うるる
「プレミアム・アウトレット」からの流出データ、5カ所で公開を確認
通販サイトに不正アクセス、アカウント情報が海外サイトに - 人気洋菓子店
教職員29アカウントが乗っ取り被害、メール3500件を攻撃者へ転送 - 横浜市立大
「セシールオンラインショップ」に不正アクセス - 攻撃リストが顧客IDと一致
職員のメールアカウントが詐取、メールが外部へ転送 - 富山県立大
「高尾ビジターセンター」のメールアカウントに不正アクセス - スパム送信の踏み台に
CAD製品のユーザー登録サイトに不正アクセス - エーアンドエー